De Lennart Poettering huet eng Propositioun verëffentlecht fir de Bootprozess fir Linux Verdeelungen ze moderniséieren, zielt fir existent Probleemer ze léisen an d'Organisatioun vun engem voll verifizéiertem Boot ze vereinfachen, deen d'Zouverlässegkeet vum Kernel an der Basisdaten Systemëmfeld bestätegt. D'Ännerungen, déi néideg sinn fir déi nei Architektur ëmzesetzen, si schonn an der systemd Codebase abegraff an beaflossen Komponenten wéi systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase a systemd-creds.
Déi proposéiert Ännerunge kachen erof op d'Schafung vun engem eenzegen universelle Bild UKI (Unified Kernel Image), kombinéiert de Linux Kernel Image, e Handler fir de Kernel vun UEFI (UEFI Bootstub) ze lueden an d'Initrd System Ëmfeld an d'Erënnerung gelueden, benotzt fir Initialiséierung op der Bühn virum Montage vun der Root FS. Amplaz vun engem initrd RAM Disk Image, kann de ganze System am UKI verpackt ginn, wat Iech erlaabt Iech voll verifizéiert Systemëmfeld ze kreéieren déi an RAM gelueden sinn. D'UKI-Bild ass formatéiert als ausführbar Datei am PE-Format, deen net nëmme mat traditionelle Bootloader gelueden ka ginn, awer och direkt vun der UEFI Firmware genannt ginn.
D'Kapazitéit fir vun UEFI ze ruffen erlaabt Iech eng digital Ënnerschrëft Integritéitskontroll ze benotzen déi net nëmmen de Kernel deckt, awer och den Inhalt vun der Initrd. Zur selwechter Zäit erlaabt d'Ënnerstëtzung fir Uruff vun traditionelle Bootloader Iech sou Features ze behalen wéi d'Liwwerung vu verschiddene Versioune vum Kernel an automatesch Réckroll op e funktionnéierende Kernel, wann Probleemer mam neie Kernel no der Installatioun vum Update festgestallt ginn.
Am Moment, an de meeschte Linux Verdeelungen, benotzt den Initialiséierungsprozess d'Kette "Firmware → digital ënnerschriwwen Microsoft Shim Layer → GRUB Bootloader digital ënnerschriwwen vun der Verdeelung → digital ënnerschriwwen Linux Kernel → net ënnerschriwwen initrd Ëmfeld → root FS." De Mangel un initrd Verifizéierung an traditionelle Verdeelungen schaaft Sécherheetsproblemer, well ënner anerem an dësem Ëmfeld d'Schlëssel fir d'Entschlësselung vum Root Dateiesystem erëmfonnt ginn.
Verifizéierung vum initrd Bild gëtt net ënnerstëtzt well dës Datei am lokalen System vum Benotzer generéiert gëtt a kann net mat enger digitaler Ënnerschrëft vum Verdeelungskit zertifizéiert ginn, wat d'Organisatioun vun der Verifizéierung staark komplizéiert wann Dir de SecureBoot Modus benotzt (fir d'Initrd z'iwwerpréiwen, Benotzer muss hir eege Schlësselen generéieren an se an d'UEFI Firmware lueden). Zousätzlech erlaabt déi aktuell Bootorganisatioun net d'Benotzung vun Informatioun aus den TPM PCR (Platform Configuration Register) Registere fir d'Integritéit vu Benotzerraumkomponenten ausser Shim, Grub an de Kernel ze kontrolléieren. Ënnert de existente Probleemer gëtt och d'Komplexitéit vum Update vum Bootloader an d'Onméiglechkeet den Zougang zu Schlësselen am TPM fir eeler Versioune vum OS ze beschränken, déi irrelevant ginn nodeems d'Aktualiséierung installéiert ass.
D'Haaptziler vun der Aféierung vun der neier Luedearchitektur sinn:
- Bitt e komplett verifizéierte Bootprozess dee vu Firmware bis zum Benotzerraum spant, bestätegt d'Validitéit an d'Integritéit vun de Komponenten déi gestart ginn.
- Verknëppelt kontrolléiert Ressourcen op TPM PCR Registere, getrennt vum Besëtzer.
- D'Kapazitéit fir PCR Wäerter viraus ze berechnen op Basis vum Kernel, Initrd, Konfiguratioun a lokal System ID benotzt beim Boot.
- Schutz géint Rollback Attacke verbonne mat der Réckroll op eng fréier vulnérabel Versioun vum System.
- Vereinfachung an Erhéijung Zouverlässegkeet vun Aktualiséierungen.
- Ënnerstëtzung fir OS-Aktualiséierungen déi keng nei Uwendung oder lokal Dispositioun vun TPM-geschützte Ressourcen erfuerderen.
- De System ass prett fir Fernzertifizéierung fir d'Korrektheet vum geluedenen OS an Astellungen ze bestätegen.
- D'Kapazitéit fir sensibel Donnéeën op bestëmmte Bootstadien ze befestigen, zum Beispill d'Verschlësselungsschlëssel fir de Root Dateisystem aus dem TPM extrahéieren.
- E sécheren, automateschen a userfräie Prozess ubitt fir Schlësselen ze spären fir e Root Partition Drive ze entschlësselen.
- Benotzung vu Chips déi d'TPM 2.0 Spezifizéierung ënnerstëtzen, mat der Fäegkeet fir op Systemer ouni TPM zréckzekommen.
Source: opennet.ru